DPM でファイアウォール設定を構成する
System Center Data Protection Manager (DPM) サーバーの展開と DPM エージェントの展開中に発生する一般的な質問は、ファイアウォールで開く必要があるポートに関する問題です。 この記事では、ネットワーク トラフィックで DPM が使用するファイアウォールのポートとプロトコルについて説明します。 DPM クライアントのファイアウォール例外の詳細については、「エージェントのファイアウォール例外の構成を参照してください。
| プロトコル | Port | 詳細 |
|---|---|---|
| DCOM | 135/TCP 動的 | DCOM は、DPM サーバーと DPM 保護エージェントがコマンドと応答を発行するために使用します。 DPM は、エージェントで DCOM の呼び出しを起動して、保護エージェントにコマンドを発行します。 保護エージェントは、DPM サーバーで DCOM の呼び出しを起動して応答します。 TCP ポート 135 は、DCOM によって使用される DCE エンドポイント解決ポイントです。 既定では、DCOM により動的に 1024 ～ 65535 の範囲の TCP ポートからポートが割り当てられます。 ただし、コンポーネント サービスを使用して TCP ポート範囲を調整できます。 これを行うには、次の手順を実行します。 1. IIS 7.0 Manager の Connections ペインで、ツリー内のサーバー レベルノードを選択します。 2. 機能の一覧で、[FTP ファイアウォール サポート] アイコンをダブルクリックします。 3. FTP サービスの [データ チャネルのポート範囲] に値の範囲を入力します。 4. Actions ペインで、 Apply を選択して構成設定を保存します。 |
| TCP | 5718/TCP 5719/TCP |
DPM データ チャネルは TCP をベースにしています。 DPM と保護されたコンピューターの両方が接続を開始して、同期や回復などの DPM 操作を有効にします。 DPM は、ポート 5718 でエージェント コーディネーターと通信し、ポート 5719 で保護エージェントと通信します。 |
| TCP | 6075/TCP | クライアント コンピューターの保護に役立てるために保護グループを作成するときに有効になります。 エンド ユーザーの回復に必要です。 Operations Manager で DPM の中央コンソールを有効にする場合、Windows ファイアウォールの例外 (DPMAM_WCF_Service) が、プログラム Amscvhost.exe に対して作成されます。 |
| DNS | 53/UDP | ホスト名を解決するために、DPM とドメイン コントローラーの間、および保護されたコンピューターとドメイン コントローラーの間で使用されます。 |
| Kerberos | 88/UDP 88/TCP |
接続エンドポイントを認証するために、DPM とドメイン コントローラーの間、および保護されたコンピューターとドメイン コントローラーの間で使用されます。 |
| LDAP | 389/TCP 389/UDP |
クエリ実行のために、DPM とドメイン コントローラーの間で使用されます。 |
| NetBIOS | 137/UDP 138/UDP 139/TCP 445/TCP |
その他の操作のために、DPM と保護されたコンピューターの間、DPM とドメイン コントローラーの間、および保護されたコンピューターとドメイン コントローラーの間で使用されます。 サーバー メッセージ ブロック (SMB) が TCP/IP で直接ホストされている場合に DPM 関数に使用されます。 |
Windows ファイアウォールの設定
DPM のインストール時に Windows ファイアウォールが有効になっている場合、DPM セットアップでは、規則と例外と共に、必要に応じて Windows ファイアウォール設定が構成されます。 設定の概要を次の表に示します。
Note
- DPM によって保護されているコンピューターのファイアウォールの例外を設定する方法については、「 Configure firewall exceptions for the agent」を参照してください。
- DPM のインストール時に Windows ファイアウォールを使用できなかった場合は、「 Windows ファイアウォールを手動で構成する方法を参照してください。
- SQL Server のリモート インスタンスで DPM データベースを実行している場合は、SQL Server のリモート インスタンスで複数のファイアウォール例外を設定する必要があります。 「 SQL Server のリモート インスタンスで Windows ファイアウォールを設定するを参照してください。
| 規則の名前 | 詳細 | プロトコル | Port |
|---|---|---|---|
| Microsoft System Center Data Protection Manager DCOM の設定 | DPM サーバーと保護されたコンピューターの間の DCOM 通信に必要です。 | DCOM | 135/TCP 動的 |
| Microsoft System Center Data Protection Manager | Msdpm.exe (DPM サービス) の例外です。 DPM サーバーで実行します。 | すべてのプロトコル | すべてのポート |
| Microsoft System Center Data Protection Manager レプリケーション エージェント | Dpmra.exe (データのバックアップと復元に使用される保護エージェント サービス) 用の例外です。 DPM サーバーと保護されたコンピューターで実行します。 | すべてのプロトコル | すべてのポート |
Windows ファイアウォールを手動で構成する方法
サーバー マネージャーで、[セキュリティが強化された Windows ファイアウォールローカル サーバー>ツール>を選択。
Windows Firewall with Advanced Security コンソールで、すべてのプロファイルに対して Windows ファイアウォールがオンになっていることを確認し、[送信規則を選択します。
例外を作成するには、 Actions ペインで 新しい規則 を選択して 新しい受信規則 ウィザードを開きます。
Rule Type ページで、Program が選択されていることを確認し、 Nextを選択します。
DPM のインストール時に Windows ファイアウォールを有効にした場合、DPM のセットアップによって作成された既定の規則と一致するように例外を構成します。
Program ページで既定の Microsoft System Center 2012 R2 Data Protection Manager ルールに一致する例外を手動で作成するには、[このプログラム パス ] ボックスの[Browse を選択し、システム ドライブ文字>:\Program Files\Microsoft DPM\DPM\bin>Msdpm.exe>Open>Next を <参照します。
[アクション] ページで、既定の設定 接続を有効のままにするか 組織のガイドラインに従って設定を変更します >次。
Profile ページで、Domain、Private、Public の既定の設定のままにするか、組織のガイドラインに従って設定を変更>次。
[名前] ページで、規則の名前 (および必要な場合は説明) を入力 >[完了] をクリックします。
次に、同じ手順に従って、既定の Microsoft System Center 2012 R2 データ保護レプリケーション エージェント規則に一致する例外を手動で作成します。そのためには、 <システム ドライブ文字>:\Program Files\Microsoft DPM\DPM\bin を参照し、 Dpmra.exeを選択します。
System Center 2012 R2 SP1 を実行している場合、既定の規則には Microsoft System Center 2012 Service Pack 1 Data Protection Manager を使用して名前が付けられます。
SQL Server のリモート インスタンスで Windows ファイアウォールを設定する
DPM データベースに SQL Server のリモート インスタンスを使用する場合は、プロセスの一環として、SQL Server のそのリモート インスタンスで Windows ファイアウォールを構成する必要があります。
SQL Server のインストールが完了したら、次の設定と共に、SQL Server の DPM インスタンスに対して TCP/IP プロトコルを有効にする必要があります。
既定の失敗の監査
パスワード ポリシー確認の有効化
ポート 80 で TCP を許可するように、SQL Server の DPM インスタンスのsqlservr.exeの受信例外を構成します。 レポート サーバーは、ポート 80 で HTTP 要求をリッスンします。
データベース エンジンの既定のインスタンスは TCP ポート 1443 でリッスンします。 この設定は変更できます。 SQL Server Browser サービスを使用して、既定の 1433 ポートでリッスンしないインスタンスに接続するには、UDP ポート 1434 が必要となります。
既定では、SQL Server の名前付きインスタンスは動的ポートを使用します。 この設定は変更できます。
SQL Server のエラー ログで、データベース エンジンによって使用されている現在のポート番号を確認できます。 エラー ログを表示するには、SQL Server Management Studio を使用して、名前付きインスタンスに接続します。 [管理] – [SQL Server ログ] の "サーバーは ['any' <ipv4> port_number] でリッスンしています" エントリで、現在のログを表示できます。
SQL Server のリモート インスタンスでリモート プロシージャ コール (RPC) を有効にする必要があります。